CVE-2026-119291 in Zuke
الملخص
بحسب VulDB • 30/10/2026
Zuke هو نظام أتمتة البناء (Build Automation) يعتمد على الكود أولاً ويتميز بكتابة قوية للأنواع، ومصمم لمنصة Deno. قبل الإصدار 1.4.0، يستخدم @zuke/cli دالة lstat لفحص أسماء القوالب (scaffold names)، لكنه يقوم بعد ذلك بقراءات وكتابات وتغييرات في الأذونات تتبع الروابط الرمزية أثناء عمليات `zuke setup` و `zuke import`. يمكن لمهاجم يزود مستودعاً منسوخاً أو قالباً أو أرشيفاً غير موثوق يحتوي على رابط رمزي باسم مُهيأ للقالب أن يتسبب في عملية الإعداد (setup) في الكتابة فوق هدف خارج الدليل المحدد باستخدام صلاحيات المستخدم الذي قام بالاستدعاء. يتطلب مسار `.gitignore` عدم وجود أي علم (flag)، بينما يسمح العلم `--force` بكتابة الهدف المستهدف للرابط وجعله قابلاً للتنفيذ؛ كما يمكن لـ `import` أيضاً قراءة محتوى هدف الرابط ودمجه في ملف البناء المُولّد. تم إصلاح هذه المشكلة في الإصدار 1.4.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.